• A Binance afirmou que seus sistemas internos não foram afetados e que os fundos dos clientes continuam seguros.

• A Binance recomendou que os usuários da SignalPlus verifiquem as posições em aberto e as ordens abertas diretamente na corretora.

• A corretora recomendou incluir os IPs em uma lista de permissões e não reassociar as chaves até que a SignalPlus confirme a resolução do problema.

Binance revoga todas as chaves da SignalPlus

A Binance revogou todas as chaves de API associadas à SignalPlus depois que o provedor terceirizado de infraestrutura de negociação informou sobre uma possível vulnerabilidade de segurança em seus sistemas. Em uma declaração oficial publicada no X na quinta-feira, 5 de novembro, a corretora descreveu a remoção como uma medida preventiva imediata para proteger os usuários e acrescentou que seus próprios sistemas não foram afetados e que os fundos dos clientes continuam seguros.

O anúncio descreve as consequências práticas para os clientes afetados. Quem usou o SignalPlus deve entrar diretamente em sua conta da Binance, verificar as posições e ordens em aberto e evitar vincular novamente quaisquer chaves de API até que o SignalPlus confirme a resolução completa do problema. A Binance também recomenda ativar a lista de permissões de IP, uma configuração que permite que uma chave opere apenas a partir de endereços pré-aprovados e limita os danos caso as credenciais vazem. A declaração vai além dos usuários individuais: plataformas de terceiros integradas à corretora são incentivadas a revisar seus controles de segurança, monitorar atividades incomuns e relatar qualquer preocupação sem demora.

Ainda faltam muitos detalhes. A natureza exata do problema de segurança não foi explicada, não se sabe quantos usuários foram afetados e não foi confirmado nenhum acesso de invasores a contas de clientes nem quaisquer perdas financeiras decorrentes. A formulação da Binance trata o caso como uma possível exposição, e não como uma violação comprovada. As orientações permanentes de segurança da empresa recomendam que os usuários revoguem imediatamente credenciais potencialmente comprometidas e limitem as permissões da API às funções estritamente necessárias — medidas que a ação de quinta-feira segue à risca. Para os usuários do SignalPlus, restaurar as funcionalidades automatizadas exigirá a geração de novas credenciais assim que a integração for considerada segura.

SignalPlus e a cadeia de permissões da API

O SignalPlus fornece infraestrutura de negociação e ferramentas analíticas para os mercados de derivativos de criptomoedas, oferecendo aos traders uma única interface para gerenciar posições e executar estratégias em várias corretoras por meio de integrações de API. A plataforma abrange análise de opções, gestão de risco e execução automatizada, razão pela qual sua base de usuários se sobrepõe amplamente às mesas ativas de negociação de contratos. Essas conexões permitem que aplicativos externos operem em contas de corretoras sem que os clientes precisem transferir ativos para fora da plataforma.

Essa conveniência depende das permissões. Uma chave de API pode ser limitada à leitura de dados da conta, à realização de negociações com diferentes tipos de ordem ou à gestão de posições; dependendo das permissões concedidas pelo usuário, uma chave vazada ou usada indevidamente pode expor a conta a atividades de negociação não autorizadas. Essa distinção é importante: ao contrário de uma chave privada, que controla os próprios fundos, uma chave de API concede acesso limitado e revogável, mas, dentro de seu escopo, ainda pode alterar posições sem o consentimento do titular.

A revogação, portanto, tem efeitos opostos para os usuários do SignalPlus. O risco de acesso não autorizado por meio da integração diminui do lado da Binance, mas todas as estratégias automatizadas que dependiam dessa conexão — inclusive configurações de bots de negociação com IA e de hedge sistemático de opções — deixaram de gerenciar essas contas. As posições em aberto permanecem na corretora, mas já não respondem à lógica do aplicativo de terceiros; assim, uma carteira protegida por hedge pode se afastar do estado pretendido até que o trader intervenha manualmente. Incidentes relacionados a APIs em ferramentas de terceiros também não são novidade: em 2022, a exposição de credenciais associadas à plataforma de negociação 3Commas desencadeou alertas de segurança e uma onda de revogações de chaves em várias corretoras.

Precaução, não violação confirmada

A principal fonte de informação neste caso é o próprio anúncio da Binance, cuja formulação é cautelosa: a corretora afirma que não houve comprometimento, perdas ou acesso a contas confirmados; houve apenas um possível problema relatado pelo SignalPlus. Interpretar a medida como resposta a um ataque comprovado iria além do que o documento afirma. A conclusão prática é operacional, não forense. Nesse cenário, os fundos nunca estiveram sob risco direto de custódia, mas as estratégias automatizadas em andamento sofrem uma interrupção cuja duração depende inteiramente de quando — e se — o SignalPlus divulgará conclusões técnicas. Traders com posições abertas em derivativos encaminhadas pela plataforma devem considerar a revisão manual como procedimento padrão até que a integração seja liberada; e quem voltar a vincular chaves deve ativar a lista de permissões de IP antes de reconectar.